Adobe hat turnusmäßig neue Sicherheitsupdates veröffentlicht. Im Mai 2019 sollten vor allem der Adobe Reader und Adobe Acrobat abgesichert werden. Auch für den Flash Player gibt es eine Warnung mittlerer Priorität.

Der Mathematiker Robert McEliece ist tot. Er entwickelte Fehlerkorrekturverfahren, die auch in der Raumfahrt eingesetzt wurden, und war ein Pionier der Public-Key-Verschlüsselung. Sein bislang kaum genutztes Verschlüsselungsverfahren könnte mit Blick auf Quantencomputer noch eine Zukunft haben.
Von Hanno Böck

Eine israelische Firma hat offenbar eine Sicherheitslücke in Whatsapp genutzt, um Rechtsanwälte und Menschenrechtsaktivisten anzugreifen - darunter einen Anwalt, der gegen sie klagte. Nutzer sollten den Messenger umgehend updaten.

Eigentlich wissen es alle: Die Hashfunktion SHA-1 ist tot. Forscher haben jetzt eine Methode gefunden, Angriffe auf das Verfahren noch praxisrelevanter zu machen.

Wer komplexe Systeme administriert, kann auch schnell zu einem attraktiven Angriffsziel werden. Microsoft gibt einige Tipps aus dem eigenen Hause, um diese Gefahr zu minimieren. Dazu gehört der Einsatz spezieller Geräte.

Die Polizei in Bayern hat offenbar nicht nur KFZ-Kennzeichen mit Listen abgeglichen, sondern die Kennzeichen-Scans auch gespeichert und ausgewertet. Das Verfassungsgericht hatte den Abgleich und die Überwachung gestoppt.

Amazon wird vorgeworfen, durch Alexa gesammelte Daten nicht zu entfernen, wenn diese vom Nutzer gelöscht werden. Zumindest bei der nur in den USA verfügbaren Echo Dot Kids Edition. US-Datenschützer haben Beschwerde bei der Regierung eingereicht.

Als Antwort auf Zehntausende Anfragen nach einem Gutachten zum Pestizid Glyphosat hat das Bundesinstitut für Risikobewertung eine eigene, nicht sehr sichere Webseite programmieren lassen. Wir konnten Konfigurationsdateien auslesen, die Datenbank war mit dem Passwort "doof" geschützt.

Zugangsdaten, Zertifikate, Tokens, Schlüssel und Quellcode: Ein Sicherheitsforscher fand eine öffentlich zugängliche Gitlab-Installation von Samsung - und hätte selbst den Softwarecode ändern können.

Die Entwickler von Wireguard haben eine erste Testversion ihrer VPN-Technik nun auch für Windows veröffentlicht. Noch fehlen zwar viele, vor allem sicherheitsrelevante Funktionen, die Software soll nun aber durch die Experimente der Nutzer verbessert werden.

Eigentlich ist die Vorratsdatenspeicherung in Deutschland ausgesetzt. Doch zwei Provider hätten trotzdem einen Dienstleister damit beauftragt, berichtet der Bundesdatenschutzbeauftragte Ulrich Kelber.

Ein paar Jahre alt und schon obsolet: Überwachungskameras von Abus haben mehrere schwerwiegende Sicherheitslücken, die einen externen Zugriff ermöglichen - der Hersteller kann diese jedoch nicht schließen und bietet einen Austausch an.

Anonym, sicher und nicht rückverfolgbar: Der US-Geheimdienst CIA betreibt seine offizielle Webseite nun auch mit der .onion-Endung im Tor-Netzwerk. Der Geheimdienst hat seit kurzem auch ein Instagram-Profil.

Mit dem Mai-Patch für Android werden wieder zahlreiche Sicherheitslücken geschlossen. Eine davon ist besonders kurios, denn entdeckt wurde die Nvidia-Lücke auf Nintendos Switch. Gepatcht werden zudem das Betriebssystem und Probleme mit Broadcom- sowie Qualcomm-Komponenten.

Google I/O 2019 Das erste Mal seit Jahren hat Google auf seiner Entwicklerkonferenz neue Hardware vorgestellt. Während der Eröffnungsansprache wurde diese aber erstaunlich schnell abgehandelt. Stattdessen wollte Google seine Nutzer davon überzeugen, dass ihre Daten sicher sind.
Eine Analyse von Tobias Költzsch

Google I/O 2019 Im Chrome-Browser können Nutzer schon seit Jahren im Inkognito-Modus surfen - besuchte Webseiten und Cookies werden dann nicht gespeichert. Die Funktion kommt nun auch für den Kartendienst Maps, später auch für die Suche. Außerdem können alle Nutzer jetzt AR-Wegweiser verwenden.

Streng geheim dürfen sie nicht sein - aber immerhin vertrauliche Dokumente dürfen Behörden nun GPG-verschlüsselt versenden. Allerdings nur in zwei Implementierungen.

Die Alarmanlage Secvest von Abus kann komfortabel durch einen RFID-Schlüssel aktiviert und deaktiviert werden. Doch die Schlüssel lassen sich binnen Sekunden kopieren. Eine Lösung des Sicherheitsproblems ist nicht in Sicht.

Eine offenbar koordinierte Serie von Angriffen hat meist private Git-Repositorys übernommen und mit einer Lösegeldforderung versehen. Die Angreifer haben sich zuvor wohl die Zugangsdaten dafür verschafft.

Ein freies Chat- und Messenger-System, das Nutzer aus den Silos großer Unternehmen wie Facebook befreien soll und trotzdem direkt einsetzbar ist, ist ein fantastisches Versprechen. In der Realität kann das leider nur scheitern.
Von Sebastian Grüner

Die Max-Planck-Gesellschaft will künftig Grundlagenforschung zu Kryptographie und Datenschutz betreiben. Die Gründungsdirektoren des neuen Instituts stehen bereits fest.

Dem US-Sender CNBC ist eine interne E-Mail des Tesla-Sicherheitsteams zugespielt worden. Darin werden Mitarbeiter des E-Auto-Herstellers davor gewarnt, Interna preiszugeben.

Auf dem Wall Street Market konnten Kunden Drogen, Daten und Malware im Darknet kaufen. Die Polizei hat nun die Betreiber festgenommen und die Infrastruktur beschlagnahmt. Das gilt auch für Bitcoin und Monero im sechsstelligen Wertebereich und 550.000 Euro Bargeld.

Es wurde erneut eine Backdoor in Netzwerkhardware gefunden. Dieses Mal trifft es den amerikanischen Hersteller Cisco. Das Unternehmen hat die Sicherheitslücke mittlerweile behoben.

Der US-Webhoster A2 hat seit etlichen Tagen ein Problem: Ransomware verbreitet sich bei Kunden. Diese sind verärgert - über den Vorfall und die fehlende Kommunikation der Entwickler. Betroffen sind anscheinend nur Windows-Server.

Das für Linux-Laptops und sein Linux-Smartphone-Projekt bekannte Unternehmen Purism startet Librem One, ein Bündel sicherer Bezahldienste bestehend aus Chats, Social Media, Mail und VPN, und muss gleich am ersten Tag eine Sicherheitslücke im Chat beheben.

Eine auf Dell-Laptops vorinstallierte Windows-Software zur Installation von Treibern öffnet einen lokalen HTTP-Server. Ein Netzwerkangreifer kann das missbrauchen, um Schadsoftware zu installieren.

Bisher konnten Nutzer die von Google gesammelten Standort- und Aktivitätsdaten nur manuell aus dem Verlauf löschen - künftig geht das auch automatisch. Dank einer neuen Funktion werden die Daten wahlweise nach wenigen Monaten oder nach anderthalb Jahren gelöscht.

Laut eigenen Aussagen konnten sich anscheinend die Angreifer fast sechs Monate lang im Firmennetzwerk bewegen und personenbezogene Daten abgreifen, nachdem sie auf Citrix unbefugten Zugriff erhalten haben. Schuld am Angriff habe keine Sicherheitslücke, sondern Brute-Forcing von Passwörtern.

Der IT-Dienstleister Citycomp ist gehackt worden und die dort gelagerten Daten zahlreicher, vor allem deutscher Firmen sind im Internet offen verfügbar. Der Angreifer hatte wohl versucht, Citycomp zu erpressen.

Bloomberg hat vier Wochen an einem Bericht recherchiert, in dem es um eine angebliche geheime Backdoor in Huaweis Festnetzausrüstung bei Vodafone geht. Vodafone hat den Bericht nun komplett dementiert. Es ging um einen vergessenen Telnet-Zugang.

Microsoft hat den Code der Windows-eigenen Verschlüsselungsbibliothek Symcrypt unter der MIT-Lizenz veröffentlicht. Allerdings fehlt ein Build-System und externe Beiträge sind nicht gewollt.

Mit einer ganzen Reihe von Tricks lassen sich Mailprogramme dazu bringen, E-Mails scheinbar signiert anzuzeigen. Dabei wird aber nicht die Kryptographie angegriffen, sondern die Interpretation durch den Mailclient.

Tracking, Plugins, Cookies, Einwilligungsbanner und Co.: Die baden-württembergische Datenschutzaufsicht gibt Tipps für Einsatz und Gestaltung.
Von Christiane Schulzki-Haddouti

Ein 1999 von RSA-Miterfinder Ron Rivest erstelltes Kryptopuzzle, bei dem man eine langwierige Berechnung durchführen sollte, ist gelöst - viel früher als erwartet.

Auf Facebook finden sich auch Daten vieler Verstorbener - ein wichtiges digitales Erbe von großem Forschungsinteresse, sagt die Universität von Oxford. Sie will dafür sorgen, dass kein einzelnes profitorientiertes Unternehmen über diese Daten bestimmt.

Mit dem monatlichen Rollup KB4493472 hat Microsoft vor allem in Verbindung mit Virenscannern Probleme unter Windows 7 verursacht. Mittlerweile zeigt Microsoft Lösungswege auf. Sie erfordern jedoch Arbeiten an der Sicherheitssoftware.

Viele Projekte und Repositories sind über Docker Hub mit Seiten wie Github und Bitbucket verbunden. Unbekannte Angreifer konnten darauf unbefugt zugreifen. Das Docker-Team hat die Tokens der Betroffenen gesperrt. Sicher sind die Daten dadurch aufgrund der unklaren Lage aber noch nicht.

Ein Hacker hat auf knapp 30.000 Kundenkonten von zwei GPS-Tracker-Apps zugreifen können. Neben umfangreichen Einblicken hätte er bei manchen Fahrzeugen auch den Motor während der Fahrt ausschalten können - per App oder Webclient.

Die Tische im Lieblingsrestaurant anbieten: Die Tisch-reservieren-Funktion in der Google-Suche zu kapern, ist nicht schwer. Golem.de konnte unter anderem die Tische im Bundeskanzleramt verwalten. Google und Dish reagieren verhalten.
Von Moritz Tremmel

Die aktuelle Version 16 von Nextcloud soll die Sicherheit und das Teilen von Dateien mit Hilfe von Machine Learning verbessern. Das Projekt führt außerdem eine kleine Projektverwaltung ein und ACLs, um alte Fileserver zu ersetzen.

Es muss nicht immer Slack sein. Das Startup Parity nutzt seit zwei Jahren den freien, offenen und verschlüsselten Team-Messenger Matrix - und zieht eine positive Bilanz. Auch wenn nicht immer alles rundläuft.
Von Moritz Tremmel

Die aktuelle Version 6.5 des Betriebssystems OpenBSD nutzt den neuen Stack-Protector Retguard. Die Entwickler liefern außerdem einen eigenen lokalen DNS-Resolver aus und arbeiten an einer Eigenentwicklung für Rsync, die nun getestet werden kann.

Ohne große Mühe haben Amazon-Mitarbeiter persönliche Daten eines Kunden einsehen können, wenn dieser ein Alexa-Gerät nutzt. Der Datenzugriff ist zwar limitiert worden, Alexa-Mitarbeiter können aber weiterhin die bei einem Alexa-Gerät hinterlegte Anschrift einsehen.

Neben Asus sind sechs weitere Firmen aus dem asiatischen Raum von Angriffen der Shadowhammer-Gruppe betroffen. Auch hier wurde die Schadsoftware mit den echten Zertifikaten der Softwarehersteller signiert. Der Trojaner wird nur unter bestimmten Bedingungen aktiv.

Viele Webseiten stellen unbeabsichtigt Backup-Dateien zum Download bereit. Sie lassen sich durch einfaches Erraten von Dateinamen wie backup.zip finden. Bei einer Datingbörse waren beispielsweise Hunderttausende von Profilen abrufbar.

Boeing soll beim Bau des Flugzeugs 787 Dreamliner mehr Wert auf Schnelligkeit als auf Sorgfalt und Sicherheit legen. Das gehe auf Kosten der Sicherheit, kritisieren Mitarbeiter in einem Zeitungsbericht. Boeing weist die Vorwürfe zurück.

Microsoft hat die CPU-Kompatibilitätsliste für das kommende Mai-Update für Windows 10 ergänzt. Computer, auf denen Version 1809 läuft, werden damit sicherlich kompatibel sein. AMDs kommende Ryzen-Generation fehlt aber bisher.

Kurz nach dem Start ist es einem Sicherheitsforscher gelungen, sich unberechtigt bei der Whatsapp-Alternative der französischen Regierung anzumelden. Der Forscher fand weitere vermeintliche Fehler, die laut den Entwicklern der Matrix-Software aber keine sind.

Die US-Regierung legt im Handelsstreit mit China nach: Der US-Geheimdienst CIA wirft dem Netzausrüster Huawei vor, Finanzhilfen von der chinesischen Armee und dem Geheimdienst erhalten zu haben.